SharePoint RCE açığı: CVE-2026-45659 ile kurumsal risk ne kadar büyük?

Geçtiğimiz günlerde Microsoft, SharePoint RCE açığı için acil bir yama yayınladı. Kulağa tipik bir güvenlik haberi gibi geliyor olabilir ama, işin rengi biraz farklı. Çünkü bu açık, sıradan bir ‘parolayı kır da gir’ meselesinden epey öteye gidiyor.

SharePoint RCE açığı nedir, neden tehlikeli?

SharePoint, çoğu şirket için dijitalin anahtarı. Dosya paylaşımı, ekip işbirliği, hatta bazen şirketin iç portalı — her şey orada dönüyor. SharePoint RCE açığı dediğimizde, kötü niyetli birinin, ağda giriş yetkisi olan herhangi bir kullanıcı hesabıyla (yani yönetici olması gerekmiyor!) sunucuya uzaktan kod çalıştırabildiğini konuşuyoruz. Bir lokmanın bir fabrikanın anahtarını çevirmesi gibi düşünün. Üstelik bu açık için ekstra bir numara çevirmeye gerek yok; standart kullanıcı hakları yeterli.

RCE açığı neden sistemleri bu kadar savunmasız bırakıyor?

Uzaktan kod yürütme (RCE), siber saldırıların en tehlikeli türlerinden. Çünkü saldırgan, sistemi uzaktan yönetiyor gibi her şeyi yapabiliyor. Sektörün deneyimli isimlerine göre, SharePoint gibi merkezi platformlarda böyle bir açık, domino etkisiyle şirketin tamamını felç edebilir. Düşünün; mail, dosyalar, hatta finansal kayıtlar… Hepsi savunmasız.

Deserialization saldırısı ne demek, bu açık nasıl işliyor?

Teknik detaylara girelim: Microsoft, açığın “deserialization of untrusted data” yani “güvenilmeyen verinin ayrıştırılması” ile tetiklendiğini belirtiyor. Günlük hayatta bozuk bir anahtarın kapınızı açmasından farksız. Saldırgan, sisteme belli bir veri sokabiliyor ve SharePoint buna sorgusuz sualsiz kapıyı açıyor. Sonuç: Sunucuda istenmeyen kodlar çalışıyor.

Etkilenen SharePoint sürümleri ve şirketlere etkileri

Üzülerek söyleyeyim; etkilenen SharePoint sürümleri oldukça yaygın. 2016, 2019 ve Subscription Edition… Yani, son yıllarda aktif kullanılan tüm kurumsal SharePoint kurulumları bu riski taşıyor. Bu da binlerce şirketin doğrudan hedef tahtasında olduğu anlamına geliyor. Microsoft, yamayı hızlıca sundu ama ne yazık ki yamaların uygulanması her zaman gecikebiliyor.

Bu açık ile gerçekleştirilebilecek saldırı senaryoları

SharePoint RCE açığı kullanılarak yapılabilecekler sadece bir dosya indirmekle sınırlı değil. Bir saldırgan, açığı kullanarak sistemde arka kapılar oluşturabilir, kötü amaçlı komut dosyaları çalıştırabilir veya sunucuya zararlı yazılım yükleyebilir. Ayrıca, şirket içi iletişimi kesintiye uğratmak veya veri sızıntısı oluşturmak gibi karmaşık saldırılar da mümkün. Özellikle SharePoint’in finans, sağlık ve kamu gibi regülasyonların sıkı olduğu sektörlerde yaygın kullanımı, saldırının potansiyel etkisini katlıyor.

Gerçek dünyadan örnekler: SharePoint RCE açığı nasıl suistimal edildi?

Henüz bu son SharePoint RCE açığı ile alakalı kamuya açık bir saldırı raporlanmasa da, geçmişte benzer zafiyetlerin siber suçlular tarafından aylardır sessizce istismar edildiği biliniyor. 2020’de keşfedilen benzer bir açığın, devlet kurumlarında ve büyük şirketlerde veri sızıntılarına neden olduğu ortaya çıktı. Saldırganların genellikle, açığı keşfettikten sonra hedef sistemlere arka kapı bırakıp, ağda yanal hareketlerle daha fazla kaynağa eriştiği tespit edildi. Bu yüzden, “henüz bize bir şey olmadı” demek asla bir güvenlik önlemi değildir.

SharePoint sunucularında RCE açığına karşı alınacak pratik önlemler

• Sunucularınızı mutlaka Microsoft’un resmi kanalından güncelleyin ve yamaları düzenli kontrol edin. Otomatik güncelleme mekanizması kurmak, insan hatalarını azaltır.
• Kullanıcı haklarını gözden geçirin. SharePoint’te sık verilen “Site Member” yetkisini gerçekten ihtiyacı olanlarla sınırlandırın ve eski, aktif olmayan hesapları devre dışı bırakın.
• Sunucu üzerindeki logları merkezi bir SIEM (Security Information and Event Management) aracıyla analiz edin. Olağandışı hareketleri tespit edebilecek alarm setleri oluşturun.
• Web Application Firewall (WAF) ve IDS/IPS sistemlerini devreye alın. Özellikle deserialization saldırıları gibi karmaşık istismar yöntemlerini tespit edebilen gelişmiş cihazları tercih edin.
• Yedekleme stratejinizi gözden geçirin. Yedeklerinizin saldırıdan etkilenmemesi için offline (air-gapped) ortamda tutulmasına özen gösterin.
• Zafiyet yönetimi döngüsü oluşturun. Sadece SharePoint değil, tüm kurumsal yazılımlar için düzenli zafiyet taramaları gerçekleştirin ve bulguları hızla kapatın.
• Çalışanlara siber farkındalık eğitimi verin. Çünkü birçok saldırı, insan hatasıyla (ör. oltalama ile elde edilen kimlik bilgileri) başlar.

SharePoint RCE açığı için güncelleme ve yama yönetimi: Türk firmalar için öneriler

Türkiye’de, özellikle KOBİ ve büyük kuruluşlarda, yamaların gecikmeli uygulanması çok yaygın bir sorun. Bunun başlıca nedenleri arasında, “sistem çökmesin, işler aksamasın” endişesi ve test ortamı eksikliği öne çıkıyor. Halbuki, günümüz tehdit ortamında, beklemek çok daha büyük risk. Şirketlerin mutlaka bir test ortamı oluşturup, yamaları burada hızlıca deneyip ardından canlıya aktaracak bir prosedür oluşturması gerekir. Ayrıca, yamanın ardından çalışanların temel işlevleri test etmesi (dosya paylaşımı, ekip içi iletişim gibi) uygulamanın hatasız olduğunu onaylar. Böylece hem güvenlik hem de iş sürekliliği sağlanır.

Güvenlik açıkları neden “sıfır gün” tehdidi oluşturuyor?

Herhangi bir yamanın kamuya açıklanmasıyla birlikte, saldırganlar açığın detaylarını hızla analiz edip istismar etmeye başlar. Buna “sıfır gün” (zero-day) denir. Birçok SharePoint RCE açığı da, yamadan günler önce veya hemen sonrasında saldırganlar tarafından otomatik araçlarla tarama yapılarak bulunur. Bu nedenle, güvenlik güncellemelerinin mümkün olan en kısa sürede uygulanması kritik önemdedir. Ayrıca, açıklanan CVE numaralarını takip etmek ve sisteme uygun önlemleri hızla almak da Türk firmaları için pratik ve etkili bir yöntemdir.

SharePoint güvenliği için ekstra kontroller ve izleme yöntemleri

Sadece yama yapmak yetmez; sistemin bütününü izlemek gerekir. SharePoint’e özel güvenlik modülleri, anlık olarak olağan dışı aktiviteleri (ör. bilinmeyen IP’den dosya yüklemesi) tespit edebilir. Ayrıca, erişim denetimleri ve oturum yönetimi konusunda sıkı politikalar uygulanmalı. Şirkette kimlerin hangi kaynaklara erişebileceği belirli periyotlarda gözden geçirilmeli, fazla yetkili hesaplar minimize edilmeli. Ek olarak, sunucuya doğrudan uzak masaüstü (RDP) gibi yöntemlerle erişim, yalnızca VPN ve yetkili personelle sınırlandırılmalı.

Geçmişte benzer SharePoint RCE açıkları nelerdi?

Son birkaç yılda, SharePoint üzerinde onlarca kritik zafiyet tespit edildi. 2020’de CVE-2020-1147, 2023’te CVE-2023-21743… Hepsi de siber suçluların gözdesi olmuştu. Ortak özellikleri; kolay sömürülebilir olmaları ve çoğu kurumun güncellemede yavaş kalması. Yani tarih tekerrür ediyor diyebiliriz.

RCE açığı sonrası yapılması gerekenler: Olay müdahalesi için pratik adımlar

Bir SharePoint RCE açığı istismarından şüpheleniyorsanız, hızla aşağıdaki adımları uygulayın:

• Platformu izole edin. Sunucuyu ağdan geçici olarak çıkarıp olası yayılmayı engelleyin.
• Tüm logları alın ve mutlaka bir kopyasını ayrı bir ortamda saklayın.
• Sistemi detaylı şekilde analiz edip, saldırganın hangi komutları çalıştırdığını tespit edin. Varsa arka kapı ya da zararlı yazılım kalıntılarını temizleyin.
• Olay sonrası tüm parolaları değiştirin ve çok faktörlü kimlik doğrulama uygulayın.
• Gerekirse, olayı USOM gibi ilgili kurumlara bildirin.

Uzman analizi: Bu açığı ciddiye almak için sebepler

Bu tür SharePoint RCE açığı vakalarında, saldırgan sadece sistemi değil, kurumsal itibarınızı da hedef alıyor. Sektörün deneyimli isimlerine göre, özellikle iş sürekliliği kritik olan kurumlar, bu tür zafiyetleri “en yüksek öncelik” olarak ele almalı. Çünkü bir saldırı sonrası kurtarmak için harcanan efor, güncellemeyi yüklemekten katbekat fazla olacak. Bu açığı kapatmak için, sadece yamayı yüklemekle kalmayın; tüm SharePoint ekosisteminizin güvenlik duruşunu tekrar gözden geçirin.

Ayrıca, SharePoint’in web tabanlı olması nedeniyle, iç ağdan ve dış ağdan gelebilecek farklı tehditlere karşı da hazırlıklı olunmalı. Özellikle dışarıdan erişime açık SharePoint sunucularında, saldırganlar otomatik tarama araçlarıyla zafiyet peşinde koşuyor. Bu nedenle, şirket sınırlarınızı net çizin ve yalnızca gerekli portları dış dünyaya açın.

Sonuç: Bir güncelleme hayat kurtarabilir

Unutmayın, siber suçlular fırsat kolluyor. Eğer SharePoint RCE açığı hâlâ açık duruyorsa, şirketinizin kapısı kilitsiz demektir. Hemen şimdi güncelleme kontrolü yapın ve güvenliği üç katına çıkarın. İhmal edilen küçük bir yama, koca bir şirketin başını derde sokabilir.

Türk şirketleri için özetle; hızlı güncelleme, doğru yetkilendirme, proaktif izleme ve düzenli yedekleme ile SharePoint RCE açığı gibi tehditlere karşı güçlü bir savunma hattı kurmak mümkün. Unutmayın, siber dünyada en zayıf halka olduğunuz anda saldırganlar kapınızı çalabilir.

Sıkça Sorulan Sorular